Whitelist Instant Payment Notification (IPN)?

Question

Unsere Website sollte Instant Payment Notification (IPN) behandeln.

Wir sollten Zugriffe nur von Paypal auf unsere Website aus Sicherheitsgründen zulassen. (d. h. wir sollten HTTP-POST-Anfragen von anderen Netzwerkstandorten blockieren.)

Paypal veröffentlicht die IP-Adressliste ihrer Server. Paypal empfiehlt jedoch, das Ergebnis von DNS-Ergebnissen zu verwenden, da sie die IP-Adresse des Servers oft ändern können und sie keinen Bericht im Voraus erstellen [1].

PayPal ändert seine Aufzeichnungen oft und bietet keine Voranmeldung von Änderungen

die oben genannten Anforderungen zu erreichen, haben wir ein System zu integrieren, das automatisch die Änderung der IP-Adresse eines bestimmten Domain-Namen erkennt, (wie ipnpb.paypal.com), und aktualisieren Sie die Firewall-Einstellung unseres Servers.

(Um genau zu sein, unsere Website auf AWS integriert, und wir verwenden Sicherheitsgruppe als Firewall-Einstellung andere Einstellung.)

Aber müssen wir wirklich tun? Kennt jemand mehr anspruchsvolle Lösung dieses Problems?

[1] https://www.paypal-knowledge.com/infocenter/index?page=content&widgetview=true&id=FAQ1056 [2] https://www.paypal-knowledge.com/infocenter/index?page=content&id=FAQ1006&pmv=print&impressions=false&viewlocale=en_US

Answer 1

Wir erlauben sollten greift nur von Paypal auf unserer Seite für die Sicherheit Grund. (Das heißt wir sollten HTTP POST-Anfragen von anderen Netz Orten blockieren.)

Ich glaube nicht, gibt es ein Sicherheitsrisiko aus mit Ihrem IPN Hörer für die Öffentlichkeit zugänglich. Ich bin mir sicher, das ist das übliche Setup.

Wie Sie bereits erwähnt haben, bietet PayPal selbst keine aktuelle Liste seiner aktuellen IPN-Dienste an. Dies macht es unmöglich, eine genaue Liste der Quell-IP-Bereiche in Ihren Sicherheitsgruppen zu haben.

Auch die Art der IPN-Validierungsanforderung macht es zu einem unwahrscheinlichen Angriffsvektor. Sie müssen die Anfrage an eine bekannte PayPal-URL (ipn.paypal.com) zurücksenden, wo sie das Token und die Daten validieren.

Wenn sie die Anfrage nicht verifizieren, ignorieren Sie die Anfrage. Dieser Faktor bedeutet, dass PayPal alle Anfragen ablehnen würde, die nicht von ihnen stammen.

Wir haben all unsere IPN-Zuhörer jahrelang der Öffentlichkeit zugänglich gemacht, ohne Zwischenfall oder Angriff. Wir befolgen alle resonanzfähigen Sicherheitsrichtlinien und führen eine PCI-konforme Zahlungsplattform mit monatlichem PCI-Schwachstellen-Scan aus.

Wenn Ihr System in jeder anderen Hinsicht gut abgesichert ist, ist das Verlassen des IPN-Hörers für die Öffentlichkeit ein vernachlässigbares Sicherheitsrisiko.